Drupalgeddon 2 : correctif critique pour Drupal 7 et 8, à appliquer sans attendre

L’équipe de sécurité de Drupal a publié hier soir, 28 mars, un correctif pour une faille qui permet à n’importe qui d’exécuter du code sur le serveur d’un site Drupal. Pas besoin de compte, ni d’un module particulier : le cœur lui-même est en cause.

Ce qui est touché

• Drupal 7 jusqu’à la 7.57 : passer en 7.58.
• Drupal 8 : passer en 8.5.1, ou en 8.4.6 et 8.3.9 pour les sites restés sur ces branches.
• Drupal 6, en fin de vie depuis 2016, est également vulnérable. Un correctif existe via le programme de support étendu (D6LTS).

La faille a été surnommée Drupalgeddon 2, en écho à celle d’octobre 2014, et reçoit la note de 24 sur 25, soit le niveau « hautement critique ».

Pourquoi il faut agir aujourd’hui

Le détail technique n’est pas publié, mais le correctif, lui, est public : il suffit de comparer le code avant et après pour comprendre ce qui a été corrigé. C’est exactement ce qui s’est passé en 2014. Les premières attaques automatisées avaient commencé environ sept heures après l’annonce, et Drupal avait ensuite recommandé de considérer comme compromis tout site non mis à jour dans ce délai.

Drupal avait d’ailleurs prévenu une semaine à l’avance, le 21 mars, que ce correctif arriverait le 28 : un signal rare, réservé aux failles les plus graves.

Ce que je fais sur un site Drupal

• Sauvegarde des fichiers et de la base avant toute intervention.
• Mise à jour du cœur vers la version corrigée de sa branche. Si la mise à jour complète pose problème, le correctif seul peut s’appliquer en attendant.
• Vérification des journaux du serveur web depuis l’annonce, à la recherche de requêtes inhabituelles vers les formulaires.
• Contrôle des fichiers modifiés récemment dans l’arborescence du site.

Si votre site est sous Drupal et que vous ne savez pas qui s’occupe de ses mises à jour, c’est le moment de le découvrir.